Android VPN Cisco IOS-era: lehenik lortu beharreko kontratua

Telefonoak Cisco atebide batetara iritsi behar du. Norbaitek jada instalatu beharreko bezeroari izena eman dio. Prozesuaren mutur okerra da hori, eta horregatik huts egiten du tuneleak ordubetean kredentzialak berriro idatzi ondoren.

Lehenik behar duzuna konexio-kontratu bat da: protokoloa, autentifikazioa, identitatea, konfiantza-materiala, helbide-esleipena eta bideratzea, atebidea kudeatzen duenak idatzita.

Hori idatziz lortzen baduzu, bezeroaren hautaketa bilaketa bihurtzen da. Saltatzen baduzu, hutsegite bakoitzak pasahitz okerra ematen du.

Egin bilketa ezer instalatu aurretik

Bidali atebidearen jabeari zerrenda bat eta eskatu erantzunak, ez produktu-izen bat. Bederatzi puntuk erabateko estaldura ematen diote urruneko sarbideko profilari:

1. Bezeroak markatu behar duen atebidearen ostalari-izena edo helbidea, eta kanpotik irisgarria den.
2. Protokoloa eta bertsioa: IKEv2, IPsec-en beste belaunaldi bat edo TLS-en oinarritutako zerbitzu bat.
3. Atebideak espero duen pare-identitatea eta hark berak trukean aurkezten duena.
4. Konfiantza-materiala: zein CAk sinatzen duen atebidearen ziurtagiria, edo aldez aurretik partekatutako gakoa erabiltzen den.
5. Erabiltzailearen autentifikazioa: ziurtagiria, EAP erabiltzaile-izena eta pasahitza edo aldez aurretik partekatutako gakoa.
6. Bezeroa erortzen den helbide-multzoa, maskara eta atebidearekin.
7. Tunelearen barruan erabiltzeko DNS zerbitzariak, eta bezeroak onartu behar dituen.
8. Baimendutako helburu-prefixuak, eta horietatik kanpoko trafikoa blokeatu behar den.
9. Onartutako bezero-bertsioak eta telefonoaren sistema eragilearen bertsioak, baita izena emateko baldintza oro ere.

Puntu horietako bik hutsegite saihesgarri gehienak eragiten dituzte. Konfiantza-materialik gabe ezin duzu atebidea balioztatu, beraz bezero zuzena hondatuta dirudi. Baimendutako prefixurik gabe ezin duzu bideratze-murrizketa bat zerbitzu-arazo batetik bereizi.

Hornitzailearen izena ez da protokoloa

Cisco IOS eta IOS XE-k urruneko sarbiderako hainbat antolamendu eskaintzen dituzte, eta ez dute transmisio-formatu bera partekatzen. FlexVPN estiloko profilarekin IKEv2 ez da IKEv1 konfigurazio zaharragoaren zerbitzu bera, eta TLS-en oinarritutako bezero-zerbitzua beste produktu bat da berriz, askotan ingurune berean plataforma ezberdinean.

Beraz, izenean routerraren hornitzailea aipatzen duen bezeroak ez du ezer frogatzen. Zerbitzu horietako bat ondo inplementa dezake eta beste bat ere ez. Galdetu zein zerbitzu dagoen konfiguratuta, eta gero egiaztatu bezeroaren dokumentazioak zerbitzu hori onartutzat aipatzen duen.

Ciscoren IKEv2 dokumentazioak berak proposamena, politika, profila eta gako-eraztuna objektu bereizi gisa banatzen ditu. Egitura hori erabilgarria da norbaitek itsatsitako konfigurazio bat irakurtzen duzunean: fitxategi osoa bloke bakartzat hartu beharrean, urruneko telefonoarentzat garrantzitsuak diren ezarpenak zein objektuk dituen esaten dizu.

Zer biltzen du Androiden barneko pilak

Androidek plataformaren IKEv2/IPsec profila eskaintzen du Ikev2VpnProfile bidez, autentifikazio mota bereiziekin aldez aurretik partekatutako gakoarentzat, RSA ziurtagiriarentzat eta EAP erabiltzaile-izen eta pasahitzarentzat. Ikev2VpnProfile erreferentzia da eraikitzaileak onartzen duenaren agintaritza, atebidearen ostalari-izena eta hura balioztatzeko erabiltzen den zerbitzariaren erro-CA barne.

API hori gaitasun-adierazpena da, ez bateragarritasun-promesa. Plataformak autentifikazio mota horiekin IKEv2 egin dezakeela dio. Ez du esaten OEM ezarpen-pantaila jakin batek eremu guztiak erakusten dituenik, ezta beste produktu batetik esportatutako profil-fitxategi bat inportatuko denik ere.

Horrek esan nahi du, halaber, barneko pilak ez zaituela salbatuko atebideak plataformak inplementatzen ez duen zerbitzu bat exekutatzen badu. Kasu horretan operadoreak onartzen duen hornitzailearen bezeroa behar duzu, operadoreak dokumentatzen duen bezala instalatuta eta konfiguratuta, telefonoak hitz egiten ez duen protokolo baten gaineko irtenbide baten ordez.

Probatu kontratua idatzita dagoen ordenan

Balioztatu geruza bat aldiko eta gelditu lehen hutsegitean, geroagoko probek ez baitute zentzurik aurrekoek pasatzen ez badute.

Konfiantza. Bezeroak atebidearen ziurtagiria baztertzen badu, beste ezerk ez du garrantzirik. Egiaztatu emandako CAk atebideak aurkezten duen ziurtagiria sinatzen duela eta markatutako ostalari-izena hartan agertzen dela. Eutsi balioztatzeari piztuta; hura desaktibatzeak identitate-arazo bat atzemate-arrisku bihurtzen du.

Autentifikazioa. Baztertutako kredentzialek eta bat ez datorren proposamenak errore ezberdinak baina antzeko hutsegiteak sortzen dituzte. Atebidearen erregistroa da erabakigarria: proposamena onargarria zen ala ez esango du, erabiltzaileari buruz ezer esan aurretik.

Helbidea eta DNS. Egiaztatu telefonoak dokumentatutako multzotik helbide bat jaso duela, eta gero ebatzi barne-izen bat. Helbide batekin eta ebazlerik gabe igotzen den tunelea konektatuta dirudi eta ezerk ez lukeela funtzionatzen bezala jokatzen du.

Irisgarritasuna. Probatu baimendutako helburu bat helbidez, gero izenez. Helbidea funtzionatzen badu eta izena ez, DNS-era itzuli zara. Batak ere ez badu funtzionatzen, konparatu probatzen ari zaren prefixua baimendutako zerrendarekin bezeroa ukitu aurretik.

Hutsegite-moduak eta atzera-egitea

Eduki aurreko profil eraginkorra esportatuta eta dokumentatuta ezer aldatu aurretik, CA ezizena eta helbide-multzoa barne. Orduan atzera-egiteak profil ezagun bat leheneratzea esan nahi du, ez etenaldi batean memoriatik berreraikitzea.

Funtzionatzen duenean, idatzi bederatzi bilketa-erantzunak profilaren ondoan. Hurrengo telefonoa, hurrengo sistema-eguneratzea eta hurrengo atebide-aldaketa dokumentu batekin alderatzea bihurtzen dira, beste arratsalde bateko asmakizunen ordez.